CRACI vs Exein

Stručná odpověď

Exein vyvíjí bezpečnostní produkty pro embedded a připojená zařízení. Exein Runtime sleduje a blokuje hrozby přímo na zařízení a Exein Analyzer skenuje firmware na zranitelnosti před vydáním. Jeho vrstva Yocto, meta-exein, vkládá runtime agenta do vašeho image. CRACI je runner pro GitHub Actions: běží na něm váš build Yocto a CRACI zaznamenává, co si build stáhl, a omezuje, kam se může připojit. Exein pracuje na zařízení a firmwaru; CRACI pracuje na buildu. Většina týmů, které potřebují obojí, bude používat obojí.

Přehled

Co je integrace Exein s Yocto

Oba produkty se snadno zamění, protože oba zmiňují Yocto, a proto je dobré být přesný. meta-exein je open source vrstva Yocto, která „obsahuje recepty Pulsar a jádra pro přidání bezpečnostního frameworku Pulsar do image“. Vrstvu přidáte do bblayers.conf, připojíte pulsar k IMAGE_INSTALL a zapnete BTF a váš image se dodává s Pulsarem, nástrojem Exein pro bezpečnost za běhu postaveným na eBPF. Vrstva je testována na vydáních Yocto od Kirkstone dál a v roce 2024 se stala oficiální vrstvou Yocto Project Compatible. Exein se k Yocto Project připojil jako Platinum Member v roce 2023.

Jinými slovy, vrstva Exein mění to, co běží na zařízení. Nespouští váš build ani nezaznamenává, co si build stáhl. Exein také uvádí, že Exein Analyzer je „nativně integrovaný do Yocto, Buildroot a vaší CI/CD pipeline“, takže skenuje každý nový build, což je analýza výstupu buildu ve vaší vlastní pipeline.

Co Exein dělá dobře

Ochrana za běhu na zařízení. Exein Runtime je napsaný v Rustu a pomocí eBPF monitoruje a blokuje škodlivé chování na úrovni jádra, „ve chvíli, kdy se pokusí spustit“. V rámci celé flotily trasuje incidenty a z telemetrie za běhu generuje forenzní reporty a reporty o souladu. Exein také zveřejňuje jako open source Pulsar, „modulární a bleskově rychlý nástroj pro bezpečnost za běhu pro IoT, poháněný eBPF“.

Analýza firmwaru před vydáním. Exein Analyzer prochází výsledný firmware přímo, nebo načte vaši SBOM, když binární soubor není k dispozici. Exein uvádí, že pokrývá Linux, RTOS, Docker, UEFI, Android a další, a pomocí hodnocení dosažitelnosti a filtrování s LLM staví zneužitelné CVE na první místo.

Náprava a mapování na CRA. Exein popisuje nápravu řízenou AI, která běží v Yocto a CI/CD pipelines, a mapuje nálezy na požadavky Cyber Resilience Act.

V čem se CRACI liší

Spouští build

Buildy Yocto jsou dlouhé a náročné. CRACI spouští BitBake z vašeho workflow v GitHub Actions na runnerech až s 32 vCPU a 96 GB RAM, nastavených pomocí cracicorp/setup@v1 a size: "32". Joby běží v izolovaných virtuálních strojích a běhy se dál zobrazují v GitHubu.

Zaznamenává, co si build stáhl

Během běhu jobu CRACI sleduje provoz na hostitele balíčků a zdrojových kódů a uchovává ho jako důkaz z buildu, se stavem úplnosti pro každý job a každou cache. U Yocto je to nezávislý záznam toho, co přišlo po síti, včetně toho, co SPDX SBOM z třídy create-spdx v Yocto vynechává: v souběžném buildu core-image-sato obsahovala SBOM od CRACI každou komponentu, kterou měla ta z Yocto, o 88 více, například balíčky hostitele a GitHub Actions, a package URL pro každou z 653 verzí Rust crate, které Yocto uvádí bez něj. Zdroje, které BitBake stahuje ze zrcadla zdrojů Yocto, se zaznamenávají do SBOM jobu v CRACI. Jak si stojí skenery image a vlastní nástroje Yocto, popisuje stránka proč skenery SBOM přehlížejí, co je v buildech Yocto.

Řídí, kam se build může připojit

BitBake může omezit svůj fetcher pomocí BB_ALLOWED_NETWORKS. CRACI přidává egress policy na runneru, ověřenou před spuštěním jobu a fail-closed, takže skript nebo nástroj, který fetcher obejde, se stejně nedostane k hostiteli, kterého jste nepovolili. Při porušení vás CRACI upozorní.

Hlídá, co bylo vydáno

API vrací SBOM, síťové stopy a data o původu. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM.

CRACI na zařízení nic neinstaluje a neanalyzuje binární soubory. Pokud potřebujete ochranu za běhu nebo sken hotového image, to je oblast Exein.

Inventář toho, co je kde nasazeno

Pohled inventáře v CRACI ukazuje přesně, které verze softwaru jsou nasazeny ve kterých produktech, globálně. Když se objeví nová zranitelnost, vidíte, které produkty používají dotčenou verzi, místo abyste to skládali dohromady z poznámek k vydání a tabulek.

Kdy použít který, a kdy oba

• Chcete detekci a blokování hrozeb na zařízeních v terénu. Exein Runtime. CRACI nemá žádnou komponentu na zařízení.
• Vaše buildy Yocto běží na serveru pod stolem, nebo trvají hodiny na malých CI runnerech. CRACI je spouští z GitHub Actions a o každém uchovává záznam.
• Dodáváte image Yocto s meta-exein. Sestavte ho na CRACI. Vrstva se sestavuje jako každá jiná a CRACI zaznamenává, co si build stáhl.
• Potřebujete doložit, odkud SBOM pochází. Záznam z runneru CRACI váže SBOM ke konkrétnímu buildu. Sken výstupu v Exein Analyzer je užitečný druhý pohled.

Pro CRA

Cyber Resilience Act po výrobcích žádá, aby dokumentovali komponenty svých produktů, včetně SBOM, řešili zranitelnosti po celou dobu podpory a od září 2026 oznamovali aktivně zneužívané zranitelnosti. Exein pomáhá na straně zařízení, analýzou firmwaru před vydáním, mapováním důkazů na CRA a telemetrií za běhu z terénu. CRACI pomáhá na straně buildu, důkazy z každého buildu o tom, co vstoupilo do firmwaru, daty o původu, průběžným monitorováním a exportem SBOM jako CycloneDX nebo SPDX. Připravuje obsah oznámení podle CRA, která pak podáváte přes Single Reporting Platform (jednotnou platformu pro podávání zpráv). CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které výrobci potřebují pro svůj širší proces souladu s CRA; sám o sobě produkt do souladu neuvede. Přečtěte si, co CRA požaduje.

Přidání CRACI do workflow Yocto

Ponechte své vrstvy, včetně meta-exein, i krok Exein Analyzer. U jobu buildu nastavte runs-on: craci a zvolte velikost runneru. Příklad Yocto v dokumentaci CRACI sestavuje core-image-sato s oficiálním zrcadlem zdrojů Yocto a odpovídajícím nastavením BB_ALLOWED_NETWORKS. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Podívejte se, jak CRACI funguje pro průmyslový IoT a spotřební elektroniku.